Sehr geehrte Damen und Herren,
die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat heute das Rundschreiben 3/2017 (GW) – Videoidentifizierungsverfahren (Rundschreiben) auf Ihrer Internetseite veröffentlicht. Das Rundschreiben löst die bisherige Aufsichtspraxis des „Kapitel III. Auslegung des § 6 Abs. 2 Nr. 2 GwG („nicht persönlich anwesend“)“ des Rundschreiben 1/2014 (GW) – Verdachtsmeldungen nach §§ 11, 14 GwG und anderes vom 5. März 2014 ab, während alle anderen Kapitel weiterhin anwendbar bleiben. Gleichzeitig wird das kurz nach seiner Veröffentlichung ausgesetzte Rundschreiben 04/2016 (GW) – Videoidentifizierungsverfahren vom 10. Juni 2016 (Erstfassung vom 31. Mai 2016) vollständig aufgehoben.
Positiv kann festgehalten werden, dass der Einsatz von Videoidentifizierungssystemen zur Identifizierung von natürlichen Personen, allen unter der Aufsicht der BaFin stehenden Verpflichteten des Geldwäschegesetzes freisteht. Das heißt, neben Kreditinstituten dürfen zum Beispiel auch Zahlungsinstitute oder Finanzdienstleistungsinstitute weiterhin ein Videoidentifizierungsverfahren zur Erfüllung der geldwäscherechtlichen Sorgfaltspflichten nutzen.
Soweit der positive Inhalt des Rundschreibens.
Auf der anderen Seite werden sich die folgenden Regelungen nachteilig auf die praktische Anwendung entsprechender Verfahren zur Erfüllung des Geldwäschegesetzes auswirken:
Alle Verpflichteten, die nicht der geldwäscherechtlichen Aufsicht durch die BaFin unterliegen, dürfen bis zu einer entsprechenden Verlautbarung durch die für sie zuständige Aufsichtsbehörde, keine Videoidentifizierungsverfahren einsetzen.
Wer Videoidentifizierungsverfahren zur Erfüllung der Identifizierungspflicht in Bezug auf natürliche Personen einsetzen möchte muss sicherstellen, dass das eingesetzte Videoidentifizierungsverfahren alle im Rundschreiben genannten Anforderungen „vollumfänglich und kumulativ“ erfüllt. Wird eine Anforderung nicht erfüllt, dann gilt die Identifizierung als nicht im Sinne des Geldwäschegesetzes durchgeführt und eröffnet damit die Anwendung des Katalogs der Ordnungswidrigkeiten.
Das Rundschreiben passt die Anforderungen an das Identifizierungsverfahren „an die aktuellen Erfordernisse in Bezug auf Sicherheit und Praktikabilität an und erhöht dabei insbesondere das Sicherheitsniveau“. Unter Berücksichtigung des Rundschreibens werden alle Anbieter von Videoidentifizierungssystemen sowohl technisch als auch prozessual Anpassungen vornehmen müssen.
Die BaFin wird die Anwendbarkeit von Videoidentifizierungsverfahren anlassbezogen, jedoch spätestens drei Jahre nach Inkrafttreten des Rundschreibens evaluieren. Die Prüfung erfolgt „im Lichte des Fortschritts der Technik und der Erfahrungen mit diesem Verfahren“. Dabei soll ermittelt werden, ob die im Rundschreiben festgelegten Anforderungen „noch als ausreichend anzusehen sind oder ob weitere Anpassungen oder zusätzliche Anforderungen erforderlich sind“. Es darf bezweifelt werden, dass in drei Jahren kein weiterer Anpassungsbedarf ermittelt wird. Immerhin wollte die BaFin bereits zwei Jahre nach der ersten Veröffentlichung eine Anpassung der Anforderungen an die Videoidentifizierung durchsetzen.
Der im Rundschreiben vorgesehene Zeithorizont für die Evaluierung deckt sich mit der Begründung zu § 13 des aktuellen Entwurfs eines Gesetzes zur Umsetzung der Vierten EU-Geldwäscherichtlinie, zur Ausführung der EU-Geldtransferverordnung und zur Neuorganisation der Zentralstelle für Finanztransaktionsuntersuchung en (BT-Drucks. 18/11555, S. 118 f. (Vorabfassung)).
Künftig darf die audiovisuelle Kommunikation zwischen dem Betreiber des Videoidentifizierungssystems und der zu identifizierenden Person nur noch unter Einsatz eines „Ende-zu-Ende verschlüsselten Videochats“ erfolgen. Dabei müssen die Empfehlungen der Technischen Richtlinie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) TR-02102 eingehalten werden.“
Neu eingeführt wird unter anderem die Prüfung „der als im Weißlicht visuell prüfbar eingestuften Sicherheitsmerkmale“. Ausweise, die derartige Sicherheitsmerkmale nicht vorsehen, dürfen im Rahmen der Videoidentifizierung nicht eingesetzt werden. Um den bekannten technischen Manipulationsmöglichkeiten entgegenzuwirken, wurde folgende Anforderung aufgenommen: „Dazu ist die zu identifizierende Person aufzufordern, an geeigneter (variabler, systemseitig zufällig bestimmter) Stelle z.B. einen Finger vor sicherheitsrelevante Teile des Ausweisdokumentes zu halten und etwa eine Hand vor ihrem Gesicht zu bewegen.“
Das Rundschreiben tritt am 15. Juni 2017 in Kraft. Damit bleiben lediglich zwei Monate um alle notwendigen Anpassung zur Erfüllung der Anforderungen des Rundschreibens umzusetzen.
Die BaFin betont am Ende des Rundschreibens, dass die datenschutzrechtlichen Vorgaben ebenfalls eingehalten werden müssen. Das Schreiben des Bundesdatenschutzbeauftragen vom 17. April 2015 ist dieser E-Mail als Anlage beigefügt. Eine einfache Analyse dieses Schreibens lässt schnell konkurrierende Regelungen erkennen, die dem Verpflichteten eine rechtskonforme Umsetzung zusätzlich erschweren.
Die veröffentlichten Anforderungen beeinträchtigen den Einsatz eines Videoidentifizierungsverfahren s erheblich. Inwiefern überhaupt ein künftiger Einsatz in Frage kommt, werden Verpflichtete nicht nur unter Berücksichtigung der rechtlichen Anforderungen prüfen müssen. Die nicht abschließend kalkulierbaren finanziellen Ressourcen werden sicher ebenfalls eine bedeutende Rolle spielen, insbesondere wenn man bedenkt, dass die vorgesehene Evaluierung der Videoidentifizierungsverfahren weitere Anpassungen oder sogar den vollständigen Ausschluss der Technologie nach sich ziehen kann.
Während die Aufsichtsbehörden den Spielraum enger fassen, ist der Gesetzgeber bereits dabei, alternative Technologien zu forcieren. Der Bundestag hat am 9. März 2017 in Erster Lesung den Entwurf eines Gesetzes zur Förderung des elektronischen Identitätsnachweises (BT-Drucks. 18/11279) behandelt und an den Innenausschuss zur weiteren Bearbeitung überwiesen. Der elektronische Identitätsnachweis (eID) soll nicht nur national verstärkt zum Einsatz kommen. Vielmehr werden zusätzlich europarechtliche Vorgaben umgesetzt. Die Bundesregierung verfolgt mit diesem Gesetzentwurf folgende Ziele:
Die Online-Ausweisfunktion des elektronischen Personalausweises soll leichter anwendbar und attraktiver gemacht werden.
Die Anpassung des Personalausweisrechts an die Vorgaben der unionsrechtlichen eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014 des Europäischen Parlamentes und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG).
Der Entwurf sieht vor, dass jeder neue Personalausweis künftig mit einer einsatzbereiten Funktion zum elektronischen Identitätsnachweis ausgegeben wird. Unternehmen und Behörden sollen zudem leichter eine Berechtigung erhalten, um Online-Ausweisfunktionen anzubieten.
In Fällen, in denen das persönliche Erscheinen bei Behörden oder Banken unumgänglich ist, soll dort der Personalausweis künftig auch eingesetzt werden, um das Verfahren zu beschleunigen.
Die eID erlaubt es, eine natürliche Person binnen Sekunden und ohne Medienbruch zu identifizieren. Ein Technologieanbieter ist die AUTHADA GmbH, die bereits eine Smartphone-fähige Lösung anbietet.
Für Fragen stehen wir Ihnen gerne zur Verfügung.
Mit freundlichen Grüßen
Olaf Bausch
Diplom Wirtschaftsjurist (FH)